デルタ航空、DEF CON参加者搭乗便で発生した不正Wi-Fi攻撃を調査

ラスベガスからアトランタへ向かうデルタ航空便の搭乗客が、不審なWi-Fiネットワークの出現によって混乱に見舞われました。乗務員は機内Wi-Fiを一時的に停止する事態となりました。 

デルタ航空は現在、DEF CON 34サイバーセキュリティカンファレンスから帰路についた乗客を乗せていたFlight 591便で発生した今回の事案を調査しています。

「今回のような事案は、利便性が信頼を非常に短時間で生み出してしまうことを改めて示すものです。公共Wi-Fiの安全性は、利用者が正しいネットワークを見分けられるかどうかにかかっています」と、Corsica TechnologiesのCISOを務めるRoss Filipek氏はeSecurityPlanetへの電子メールで述べています。  

同氏はさらに、「その信頼が誤った対象に向けられてしまったとき、攻撃者はそこに付け込むことができます」と付け加えました。

デルタ航空Wi-Fiハッキング事案の要点

• デルタ航空は不正なWi-Fiネットワークを調査中。DEF CON参加者を乗せ、ラスベガスからアトランタへ向かったFlight 591便で検知されたもの。
• Wi-Fi切断（deauthentication）攻撃とみられる事象が通信を妨害し、乗務員は約30分間、機内Wi-Fiを停止する対応をとった。
• 「Delta WiFi Fast」という名称の不正ネットワークが発信されていたとの報告があり、evil twin攻撃や認証情報窃取につながる恐れがあった。
• 企業は不正Wi-Fiのリスクを低減できる。無線セキュリティの強化、管理下にあるデバイス設定、フィッシング耐性のあるMFA、監視、従業員教育、実効性を検証したインシデント対応計画などが有効。

デルタ航空、不正Wi-Fi攻撃を調査 

デルタ航空は、同社のボーイング757型機内で不正な無線ネットワークが出現したことを認めましたが、乗客の安全や航空機の運航システムへの影響はなかったとしています。 

航空管制に対する緊急事態の宣言は行われませんでした。

BleepingComputerによると、不正なネットワークが検知された後、客室乗務員は機内のWi-Fiサービスを約30分間停止したとのことです。 

デルタ航空は本件を調査中であり、連邦法執行機関や航空当局と連携して事の詳細を解明していく方針を示しています。

Wi-Fi切断攻撃の可能性を示す報告 

オンライン上の報告によると、DEF CONサイバーセキュリティカンファレンスから帰路についていた乗客が、航空機の正規無線ネットワークへの接続を妨害するWi-Fi切断攻撃を行った疑いがあるとされています。 

この事案の最中、「Delta WiFi Fast」という別のネットワークも発信されていたとの報告があり、乗客に対してこれがデルタ航空公式のサービスであるかのような印象を与えた可能性があります。

Wi-Fi切断攻撃の仕組み 

Wi-Fi切断攻撃は、無線ネットワークがデバイスとアクセスポイント間の接続を制御するために使用する管理フレームを悪用することで成立します。 

攻撃者は、正規のアクセスポイントから送信されたように見せかけた偽の切断フレームを送りつけ、接続中のデバイスに切断を指示することができます。 

こうしたフレームが繰り返し送信されると、利用者は正規ネットワークへの接続を維持できなくなり、事実上の無線サービス拒否(DoS)状態が生じます。

不正Wi-FiがEvil Twin攻撃を可能にする 

こうした通信妨害は、evil twin攻撃の機会を生み出すことにもつながります。 

利用者が正規ネットワークから切断された後、攻撃者はもっともらしい、あるいは見覚えのある名称を持つ不正アクセスポイントを発信することができます。 

再接続を試みる利用者が誤ってこの不正ネットワークを選択してしまうと、攻撃者は偽のログインページを表示したり、通信をリダイレクトしたり、機密情報の窃取を試みたりすることが可能になります。

今回のデルタ航空の事案では、第三者の報告により、不正ネットワークが個人情報とGoogleのログイン認証情報を収集するために設計されたフィッシングページを表示していたとの疑いが指摘されています。 

ただし、デルタ航空が公式に確認しているのは不正な無線ネットワークの存在のみであり、認証情報窃取に関する疑惑や、特定人物への関与の帰属については公式には確認していません。

セキュリティチームにとって今回の事案は、攻撃者が無線通信の妨害とソーシャルエンジニアリングを組み合わせることで、利用者が見慣れたネットワーク名に対して抱く信頼をどのように悪用しうるかを示す事例と言えます。 

見覚えのあるSSIDというだけでは、そのネットワークが正規のものである証明にはなりません。特に空港、ホテル、カンファレンス会場、交通拠点といった公共の場ではなおさらです。

本記事の公開時点で、この事案の調査は継続中です。

不正Wi-Fiのリスクを低減するには 

今回の事案は、企業がセキュリティアーキテクチャと従業員向けセキュリティ研修の両面において、不正な無線ネットワークへの対策を織り込んでおくべきことを改めて示すものです。

• Protected Management Frames(PMF)、WPA3-Enterprise、証明書ベース認証を有効化し、なりすましや切断攻撃のリスクを低減する。
• モバイルデバイス管理(MDM)を活用し、信頼済みネットワークプロファイルを展開する。不要な無線機能を無効化し、未知のネットワークへの自動接続を防止する。
• 無線侵入検知・防御ツールを使用し、正規インフラになりすました不正アクセスポイントやネットワークを検出する。
• 公共または信頼できないネットワークから機密リソースにアクセスする際は、承認済みのVPNまたは管理下のモバイル通信の利用を義務付ける。
• フィッシング耐性のあるMFAを使用し、不審なログイン、新規デバイス、異常なセッション活動がないか認証システムを監視する。
• 利用者に対し、evil twinネットワーク、不審なキャプティブポータル、想定外のログイン要求など、無線フィッシングの兆候を見分けられるよう教育する。
• インシデント対応計画を検証し、不正Wi-Fiや認証情報窃取を想定したシナリオで攻撃シミュレーションツールを活用する。

これらの取り組みを組み合わせることで、企業は全体的なリスクを低減できます。

結論

不正Wi-Fiが絡むシナリオは、エンドポイントポリシー、ID管理、テレメトリー、インシデント対応の各領域にわたるギャップを露呈させる可能性があり、こうした弱点は従来型のフィッシング演習だけでは表面化しないことがあります。 

今回のデルタ航空の事案は、不正な、あるいは侵害された無線接続を起点とする認証情報窃取を、既存の管理体制がどれだけ検知・対応できるかを検証することの重要性を浮き彫りにしています。

ゼロトラストの原則を採用することで、企業は利用するネットワークを問わずユーザー、デバイス、アクセス要求を継続的に検証することが可能になり、全体的なリスク露出を低減できます。